Seminar eduVPN / Let’s Connect! – Intensivseminar Architektur, Sicherheit und Skalierung

Architekturentscheidungen unter Sicherheits- und Verfügbarkeitsanforderungen

Das Intensivseminar bündelt Planung, föderierte Identität, Governance, Netzdesign, Systemhärtung, Hochverfügbarkeit, Migration und Krypto-Agilität zu einem integrierten Zielbild.

Die Inhalte werden anhand einer konsistenten Laborumgebung schrittweise aufgebaut. Jede Änderung wird vor der nächsten Ausbaustufe geprüft, dokumentiert und in den betrieblichen Gesamtzusammenhang eingeordnet.

Inhaltsübersicht

1. Plattform, Varianten und Einsatzmodelle einordnen
2. Architektur und Verbindungsablauf modellieren
3. Anforderungen, Kapazität und Einführung planen
4. VPN-Profile und Zugriffsarten konfigurieren
5. Routing, DNS und Firewall konsistent umsetzen
6. OpenVPN, WireGuard und ProxyGuard gezielt einsetzen
7. SAML und OpenID Connect föderiert anbinden
8. Registrierung, Discovery und Guest Access steuern
9. Rollen, Gruppen und Berechtigungen durchsetzen
10. Datenschutz, Protokollierung und Governance verankern
11. TLS, Zertifikate und Systemhärtung umsetzen
12. Hochverfügbarkeit und Multi-Node-Betrieb aufbauen
13. Backups, Updates und Upgrades absichern
14. Migration und produktiven Cutover steuern
15. Krypto-Agilität und Post-Quanten-Optionen bewerten
16. Monitoring, Logging und Fehleranalyse etablieren

Zielgruppe

• IT- und Sicherheitsarchitektur
• Netzwerkarchitektur
• IAM
• SRE
• technische Projektleitung

Voraussetzungen

• Erfahrung in VPN-, IAM- oder Plattformarchitektur
• Verständnis von Routing, TLS und Hochverfügbarkeit
• Eigene Anforderungen oder Referenzszenario

Seminarinhalte

Kapitel 1: Plattform, Varianten und Einsatzmodelle einordnen

Kapitel-Inhaltsverzeichnis: gemeinsame Serverplattform; eduVPN und Let’s Connect!; Institute Access; Secure Internet; Verantwortungsgrenzen.

1. Schritt 1: Die gemeinsame technische Basis von eduVPN und Let’s Connect! wird von Branding, Zielgruppe und organisatorischem Betrieb getrennt betrachtet.
2. Schritt 2: Die Einsatzmodelle Institute Access und Secure Internet werden anhand von Datenfluss, Vertrauensgrenzen und Nutzerweg gegenübergestellt.
3. Schritt 3: Portal, VPN-Knoten, Identitätsdienst, Client und Netzwerkdienste werden als getrennte Betriebsbausteine erfasst.
4. Schritt 4: Für jeden Baustein werden fachliche Zuständigkeit, technische Administration und Eskalationsweg festgelegt.
5. Schritt 5: Ein belastbares Zielbild wird als Systemkontext mit Abhängigkeiten, Annahmen und Abnahmekriterien dokumentiert.

Kapitel 2: Architektur und Verbindungsablauf modellieren

Kapitel-Inhaltsverzeichnis: Portal; Authentisierung; Autorisierung; VPN-Knoten; Clientfluss; Zustandsdaten.

1. Schritt 1: Der vollständige Verbindungsablauf wird vom Start im Client bis zur aktiven VPN-Sitzung in Einzelschritte zerlegt.
2. Schritt 2: Authentisierung, Berechtigungsentscheidung, Profilauswahl und Tunnelerzeugung werden als getrennte Kontrollpunkte modelliert.
3. Schritt 3: Die Kommunikationsbeziehungen zwischen Portal, Identitätsquelle, API, VPN-Knoten und Zielnetzen werden in einer Port- und Flussmatrix erfasst.
4. Schritt 4: Zustandsbehaftete und zustandsarme Komponenten werden identifiziert, damit Skalierung und Wiederanlauf planbar bleiben.
5. Schritt 5: Die Architektur wird durch Positiv-, Negativ- und Ausfallszenarien gegen die fachlichen Anforderungen geprüft.

Kapitel 3: Anforderungen, Kapazität und Einführung planen

Kapitel-Inhaltsverzeichnis: Nutzergruppen; Standorte; Bandbreite; Adressräume; Serviceziele; Abnahme.

1. Schritt 1: Nutzerzahlen, gleichzeitige Sitzungen, Endgeräte, Standorte und Schutzbedarfe werden in einem Anforderungskatalog zusammengeführt.
2. Schritt 2: Adressräume, Namensauflösung, Zielnetze, Internetzugang und Split-Tunnel-Vorgaben werden auf Überschneidungen geprüft.
3. Schritt 3: Kapazitätsannahmen für Portal, Authentisierung, VPN-Knoten, Netzwerk und Protokollierung werden mit Reserven versehen.
4. Schritt 4: Pilot, gestufter Rollout, Supportbereitschaft und Rückfalloptionen werden in eine umsetzbare Einführungsfolge überführt.
5. Schritt 5: Abnahmekriterien für Funktion, Sicherheit, Leistung, Wiederherstellung und Endanwendererlebnis werden vor der Umsetzung festgeschrieben.

Kapitel 4: VPN-Profile und Zugriffsarten konfigurieren

Kapitel-Inhaltsverzeichnis: Profilstruktur; Full Tunnel; Split Tunnel; IPv4 und IPv6; Client-zu-Client; Diensttrennung.

1. Schritt 1: Profile werden nach fachlichem Zweck, Nutzergruppe, Zielnetz, Protokoll und Sicherheitsniveau eindeutig benannt und abgegrenzt.
2. Schritt 2: Full-Tunnel- und Split-Tunnel-Varianten werden mit ihren Auswirkungen auf Routing, Datenschutz, Support und Internetzugang bewertet.
3. Schritt 3: IPv4- und IPv6-Adresspools werden konfliktfrei dimensioniert und mit Rückwegen, NAT sowie Namensauflösung abgestimmt.
4. Schritt 4: Client-zu-Client-Kommunikation wird nur dort zugelassen, wo ein dokumentierter Anwendungsfall und passende Segmentierung vorliegen.
5. Schritt 5: Jedes Profil wird mit einer Testmatrix aus berechtigten, unberechtigten, internen, externen und fehlerhaften Zugriffen abgenommen.

Kapitel 5: Routing, DNS und Firewall konsistent umsetzen

Kapitel-Inhaltsverzeichnis: Adressplan; Rückrouten; NAT; DNS-Server; Firewallregeln; MTU.

1. Schritt 1: Alle Clientpools, Zielnetze, Überschneidungen und Rückwege werden vor der Konfiguration in einem verbindlichen Adressplan festgehalten.
2. Schritt 2: Für jedes Profil wird entschieden, ob geroutet, übersetzt oder über einen definierten Internetausgang geführt wird.
3. Schritt 3: DNS-Server, Suchdomänen und interne Namensräume werden so zugewiesen, dass keine unbeabsichtigten Informationsabflüsse entstehen.
4. Schritt 4: Firewallregeln werden aus Kommunikationsbeziehungen abgeleitet und anschließend von einer breiten Laborfreigabe auf minimale Regeln reduziert.
5. Schritt 5: Erreichbarkeit, Rückweg, Namensauflösung, Fragmentierung und MTU werden mit reproduzierbaren Tests je Protokoll und Clientplattform geprüft.

Kapitel 6: OpenVPN, WireGuard und ProxyGuard gezielt einsetzen

Kapitel-Inhaltsverzeichnis: Protokollwahl; UDP und TCP; Roaming; Performance; MTU; Fallback.

1. Schritt 1: Die Protokolle werden nach Netzverträglichkeit, Mobilität, Durchsatz, Betriebsaufwand und Fehlersichtbarkeit verglichen.
2. Schritt 2: OpenVPN-Profile werden für Umgebungen bewertet, in denen etablierte Kompatibilität und klarer TCP- oder UDP-Betrieb benötigt werden.
3. Schritt 3: WireGuard wird für schlanke, performante Tunnel mit sauberem Schlüssel- und Sitzungslebenszyklus eingeordnet.
4. Schritt 4: ProxyGuard wird als WireGuard-Transport über TCP für restriktive Netze geplant und gegen ungeeignete Dauernutzung abgegrenzt.
5. Schritt 5: Protokollreihenfolge, Fallback, MTU, Zeitüberschreitungen und Supporthinweise werden in einer einheitlichen Clientstrategie festgelegt.

Kapitel 7: SAML und OpenID Connect föderiert anbinden

Kapitel-Inhaltsverzeichnis: Vertrauensbeziehung; Metadaten; Claims; MFA-Kontext; Sitzungen; Abmeldung.

1. Schritt 1: Die Rollen von Identitätsanbieter, Portal, Client und Nutzer werden in einem föderierten Anmeldeablauf eindeutig getrennt.
2. Schritt 2: Metadaten, Endpunkte, Zertifikate, Clientdaten und zulässige Rücksprungadressen werden kontrolliert ausgetauscht und versioniert.
3. Schritt 3: Name Identifier, Claims und Gruppen werden auf stabile, datensparsame und autorisierungsfähige Werte abgebildet.
4. Schritt 4: MFA-Kontext, Sitzungsdauer, erneute Anmeldung und Abmeldeverhalten werden mit den Sicherheitsvorgaben abgestimmt.
5. Schritt 5: Fehler bei Signatur, Zeitabweichung, Claim-Mapping, Rücksprungadresse und Sitzung werden anhand eines Diagnoseablaufs eingegrenzt.

Kapitel 8: Registrierung, Discovery und Guest Access steuern

Kapitel-Inhaltsverzeichnis: Serverregistrierung; Discovery; Serviceinformationen; eduVPN Guest Access; Lebenszyklus; Support.

1. Schritt 1: Die Voraussetzungen für Auffindbarkeit, Registrierung und konsistente Serviceinformationen werden vor der Veröffentlichung geprüft.
2. Schritt 2: Anzeigename, Kontakt, Supportinformationen, Profilangebot und technische Erreichbarkeit werden aufeinander abgestimmt.
3. Schritt 3: Der Unterschied zwischen lokalem Dienst, eduVPN-Föderationskontext und der allgemein gebrandeten Let’s-Connect!-Variante wird berücksichtigt.
4. Schritt 4: Guest Access wird ausschließlich für geeignete eduVPN-Szenarien geplant und mit Identität, Zustimmung, Berechtigung und Ablaufdatum verbunden.
5. Schritt 5: Änderung, Deaktivierung, Störung und Rücknahme eines veröffentlichten Dienstes werden als eigener Betriebsprozess dokumentiert und getestet.

Kapitel 9: Rollen, Gruppen und Berechtigungen durchsetzen

Kapitel-Inhaltsverzeichnis: Rollenmodell; statische Rechte; dynamische Rechte; Profilfreigabe; Minimalprinzip; Nachweis.

1. Schritt 1: Fachrollen, technische Rollen, Nutzergruppen und administrative Zuständigkeiten werden in einer Berechtigungsmatrix zusammengeführt.
2. Schritt 2: Statische Berechtigungen werden für stabile Zuordnungen eingesetzt und mit eindeutiger Eigentümerschaft versehen.
3. Schritt 3: Dynamische beziehungsweise live bewertete Berechtigungen werden nur mit erreichbarer Quelle, definiertem Fehlerverhalten und geeigneter Laufzeit genutzt.
4. Schritt 4: Profilfreigaben werden nach dem Minimalprinzip aufgebaut und mit expliziten Negativfällen gegen unbeabsichtigten Zugriff geprüft.
5. Schritt 5: Änderungsfreigabe, Rezertifizierung, Protokollnachweis und Entzug werden als wiederkehrender Governance-Prozess festgelegt.

Kapitel 10: Datenschutz, Protokollierung und Governance verankern

Kapitel-Inhaltsverzeichnis: Dateninventar; Minimierung; Aufbewahrung; Zugriff; Nachweis; Rezertifizierung.

1. Schritt 1: Verarbeitete Identitäts-, Geräte-, Sitzungs-, Netzwerk- und Protokolldaten werden nach Zweck und Schutzbedarf inventarisiert.
2. Schritt 2: Attribute, Protokollumfang und Aufbewahrungsdauer werden auf das für Betrieb, Sicherheit und Nachweis notwendige Maß reduziert.
3. Schritt 3: Zugriff auf administrative Funktionen und Protokolle wird rollenbasiert getrennt und regelmäßig überprüft.
4. Schritt 4: Änderungen an Profilen, Berechtigungen, Identitätskopplungen und Sicherheitseinstellungen erhalten nachvollziehbare Freigaben.
5. Schritt 5: Löschung, Auskunft, Incident-Bearbeitung, Berechtigungsrezertifizierung und Auditnachweis werden als wiederholbare Prozesse beschrieben.

Kapitel 11: TLS, Zertifikate und Systemhärtung umsetzen

Kapitel-Inhaltsverzeichnis: TLS; CA-Vertrauen; Schlüssel; Diensthärtung; Patchen; Vorfallbehandlung.

1. Schritt 1: Externe und interne Vertrauensbeziehungen werden inventarisiert und mit Eigentümer, Gültigkeit, Erneuerung und Widerruf versehen.
2. Schritt 2: TLS-Konfiguration, Zertifikatskette, Hostnamen und automatisierte Erneuerung werden ohne unsichere Dauer-Ausnahmen geprüft.
3. Schritt 3: Geheimnisse und Schlüssel werden mit minimalen Dateirechten, getrennten Dienstkonten und geregelter Rotation geschützt.
4. Schritt 4: Betriebssystem, Webdienst, PHP-Laufzeit, Datenhaltung, Firewall und Administrationszugang werden nach dem Minimalprinzip gehärtet.
5. Schritt 5: Patchen, Schwachstellenbewertung, Alarmierung, Beweissicherung, Eindämmung und Wiederanlauf werden in einen Vorfallprozess eingebettet.

Kapitel 12: Hochverfügbarkeit und Multi-Node-Betrieb aufbauen

Kapitel-Inhaltsverzeichnis: Portalredundanz; VPN-Knoten; Lastverteilung; Zustand; Failover; Kapazität.

1. Schritt 1: Ausfallziele, Wiederanlaufzeiten und tolerierbarer Datenverlust werden je Plattformkomponente festgelegt.
2. Schritt 2: Portal, Identitätskopplung, Datenhaltung und VPN-Knoten werden nach ihren Zustands- und Redundanzanforderungen getrennt geplant.
3. Schritt 3: Lastverteilung, Health Checks, Sitzungsbezug und Knotenaufnahme werden mit eindeutigen Betriebszuständen definiert.
4. Schritt 4: Kapazität wird nicht nur nach Durchschnitt, sondern nach Spitzenlast, Knotenverlust, Wartung und Wachstum dimensioniert.
5. Schritt 5: Failover, Wiederaufnahme, Wartungsbetrieb, Knotenverlust und Rückkehr werden mit messbaren Kriterien praktisch getestet.

Kapitel 13: Backups, Updates und Upgrades absichern

Kapitel-Inhaltsverzeichnis: Dateninventar; Sicherung; Wiederherstellung; Updatefenster; Upgradepfad; Rollback.

1. Schritt 1: Konfiguration, Schlüssel, Datenbanken, Portalzustand, Systemanpassungen und externe Abhängigkeiten werden als Sicherungsumfang inventarisiert.
2. Schritt 2: Sicherungen werden verschlüsselt, versioniert, außerhalb des Systems aufbewahrt und mit klarer Aufbewahrungsdauer versehen.
3. Schritt 3: Eine Wiederherstellung wird regelmäßig auf einer getrennten Umgebung mit Funktions- und Integritätsprüfung geprobt.
4. Schritt 4: Updates werden über Vorprüfung, Sicherung, Wartungsfenster, technische Prüfung und fachliche Abnahme kontrolliert eingespielt.
5. Schritt 5: Größere Upgrades erhalten einen dokumentierten Pfad mit Kompatibilitätsprüfung, Pilot, Rückfallpunkt und Nachkontrolle.

Kapitel 14: Migration und produktiven Cutover steuern

Kapitel-Inhaltsverzeichnis: Ist-Aufnahme; Zielbild; Pilot; Koexistenz; Cutover; Rollback.

1. Schritt 1: Bestehende VPN-Dienste, Nutzergruppen, Profile, Adressräume, Authentisierung, Clients und Betriebsprozesse werden vollständig aufgenommen.
2. Schritt 2: Das Zielbild wird in Muss-, Soll- und spätere Ausbaustufen gegliedert, damit der erste Produktivgang beherrschbar bleibt.
3. Schritt 3: Ein Pilot prüft Identität, Berechtigungen, Netzwerkpfade, Clientverhalten, Leistung, Protokollierung und Support mit realistischen Nutzergruppen.
4. Schritt 4: Koexistenz und Übergang werden so geplant, dass Rückwege, Profilnamen und Supportkommunikation keine Doppelzuständigkeit erzeugen.
5. Schritt 5: Cutover, Rückfall, Erfolgsmessung und Nachbetreuung werden mit Entscheidungspunkten, Verantwortlichen und Zeitfenstern festgelegt.

Kapitel 15: Krypto-Agilität und Post-Quanten-Optionen bewerten

Kapitel-Inhaltsverzeichnis: Kryptoinventar; Abhängigkeiten; Krypto-Agilität; hybride Verfahren; Laborbewertung; Entscheidung.

1. Schritt 1: Verwendete Protokolle, Bibliotheken, Zertifikate, Schlüsselarten, Gültigkeiten und externe Abhängigkeiten werden inventarisiert.
2. Schritt 2: Langfristig schützenswerte Daten und zeitkritische Migrationsrisiken werden von kurzfristigem Experimentierbedarf getrennt.
3. Schritt 3: Krypto-Agilität wird über austauschbare Konfiguration, kurze Gültigkeiten, automatisierte Erneuerung und getestete Rückfallwege verbessert.
4. Schritt 4: Hybride oder post-quantenbezogene Funktionen werden ausschließlich in einer kontrollierten Laborumgebung mit klarer Versionsbindung erprobt.
5. Schritt 5: Die Bewertung endet mit dokumentierten Reifegraden, Ausschlusskriterien, Beobachtungspunkten und einem realistischen Entscheidungszeitpunkt.

Kapitel 16: Monitoring, Logging und Fehleranalyse etablieren

Kapitel-Inhaltsverzeichnis: Dienststatus; Metriken; Protokolle; Alarmierung; Korrelation; Runbooks.

1. Schritt 1: Portal, Authentisierung, VPN-Knoten, Netzwerkpfade und externe Abhängigkeiten erhalten jeweils messbare Zustandskriterien.
2. Schritt 2: Metriken für Erreichbarkeit, Sitzungen, Fehlerquoten, Latenz, Kapazität und Ressourcen werden mit sinnvollen Schwellen versehen.
3. Schritt 3: Protokolle werden nach technischer Diagnose, Sicherheitsnachweis und Datenschutzbedarf getrennt aufbewahrt und zugänglich gemacht.
4. Schritt 4: Alarmierungen werden priorisiert, entdoppelt und mit einer klaren Erstmaßnahme sowie einem Verantwortungsbereich verbunden.
5. Schritt 5: Typische Störungen werden über Zeitbezug, Profil, Protokoll, Nutzerkontext und Netzwerkpfad reproduzierbar eingegrenzt.

Praxisübungen

• Zielarchitektur mit Vertrauenszonen, Datenflüssen, Rollen und Servicezielen entwerfen.
• Netzwerk-, Profil- und Protokollkonzept gegen Datenschutz und Ausfallszenarien prüfen.
• Föderierte Identität, Claims, Berechtigungen und Guest Access in ein Governance-Modell einordnen.
• Multi-Node- und Wiederherstellungsstrategie mit messbaren Failover-Kriterien entwickeln.
• Migration, Krypto-Agilität und technische Roadmap in eine priorisierte Entscheidungsunterlage überführen.

Lernziele

• Anforderungen in ein belastbares Plattform- und Sicherheitsdesign überführen.
• Identität, Netz, Profile und Vertrauensbeziehungen gemeinsam bewerten.
• Governance, Protokollierung und Härtung nach Schutzbedarf ausrichten.
• Skalierung, Failover, Backup und Wiederanlauf messbar planen.
• Migration und Krypto-Agilität ohne unbelegte Produktionsannahmen steuern.